개인정보보호위원회(송경희 위원장)가 '응용프로그램 인터페이스'(API, Application Programming Interface)를 통한 개인정보 유출 사고를 막기 위해 사업자들에게 권한 관리와 개인정보 최소 전송 등 보호조치 강화를 당부했다.
개인정보위는 웹·앱 서비스 고도화와 플랫폼 연계, 제휴사 서비스 연동 등으로 API를 통한 데이터 처리가 확대되면서 개인정보 유출 위험도 함께 커지고 있다고 8일 밝혔다.
API는 서로 다른 서비스나 시스템이 데이터를 주고받도록 연결하는 통로다. 최근에는 로그인 여부만 확인하고 개인정보 조회 권한은 따로 확인하지 않거나, 서비스 제공에 필요하지 않은 개인정보까지 API 응답 데이터에 포함해 대규모 유출로 이어지는 사례가 잇따르고 있다.
실제로 권한 관리가 제대로 이뤄지지 않은 API에 비정상 접근해 약 3700만명의 이름과 주소, 이메일, 전화번호, 생년월일 등이 유출된 사례가 있었다.
또 개인정보 보호를 위해 이용자 핸드폰 번호 대신 안심번호만 전송하도록 정책을 바꿨지만, 실제 API에서는 핸드폰 번호까지 함께 전송된 사례도 확인됐다.
개인정보위는 우선 API 기획·설계 단계부터 '개인정보 최소화 원칙'을 준수해야 한다고 강조했다. 이용자 화면에 보이지 않거나 서비스 제공 목적에 필요하지 않은 정보는 API 응답 데이터에서도 제외해야 한다는 것이다.
또 대규모 정보 조회나 반복 호출을 제한해 비정상적인 API 호출로 인한 대량 유출 가능성을 줄여야 한다고 설명했다.
최소 권한 원칙에 부합하도록 API 권한을 부여하고 관리해야 한다. 이용자용, 관리자용, 제휴·협력사용 등 주체별로 접근 가능한 API와 개인정보 범위를 차등 부여하고, 인증·권한이 없거나 정책에 맞지 않는 요청은 기본적으로 차단해야 한다.
개인정보위는 모든 API 요청에 대해 해당 이용자가 개인정보를 조회하거나 수정할 권한이 있는지 서버에서 확인해야 한다고 권고했다. 접근 가능한 정보라도 일정 기간이 지나면 일부 비식별 처리하는 등 추가 보호조치가 필요하다고도 했다.
운영 중인 API 목록을 지속적으로 식별, 현행화하고 점검하는 것도 중요하다. 기능 개선이나 테스트, 서비스 개편 이후 외부에서 호출 가능한 API가 남아 있는지, 불필요한 개인정보가 API 응답에 포함돼 있는지 정기적으로 살펴봐야 한다.
장기간 사용하지 않는 API 키와 토큰, 계정 등 자격증명은 즉시 회수하고, 새벽 시간 접속이나 대량 조회 등 이상행위도 접속기록 점검을 통해 탐지·대응해야 한다.
API를 제공받아 서비스를 운영하는 사업자 역시 응답 데이터에 서비스와 무관한 개인정보가 포함돼 있는지 확인하고, 불필요한 개인정보는 즉시 제거해야 한다. API 키와 토큰 등 자격증명은 담당자별로 발급하고, 조회·전송 가능한 데이터 범위도 최소화하는 것이 바람직하다.
개인정보위 양청삼 사무처장은 "API는 서비스 화면에 표시되지 않는 개인정보도 함께 전송할 수 있으므로 서비스 제공에 필요한 최소한의 개인정보만 처리되도록 설계하고 운영해야 한다"고 강조했다.